Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]

GuadalajaraCON

1

−−−− SEGURIDAD FISICA SEGURIDAD FISICA SEGURIDAD FISICA SEGURIDAD FISICA −−−−MIRA MAMA, COMO MIRA MAMA, COMO MIRA MAMA, COMO MIRA MAMA, COMO

JASON BOURNEJASON BOURNEJASON BOURNEJASON BOURNE

Alejandro Hernández H. CISSP, GPEN

http://twitter.com/nitr0usmx

http://chatsubo-labs.blogspot.com http://www.brainoverflow.org

GuadalajaraCON

Sobre mSobre mSobre mSobre mí…

� Consultor de Seguridad Senior de IOActive

� 10 años involucrado en Seguridad

� Rompo cosas

� Ah! Y soy CISSP…

2

GuadalajaraCON

3

GuadalajaraCON

Tabla de ContenidosTabla de ContenidosTabla de ContenidosTabla de Contenidos

� Esta presentación será un collage de conceptos, experiencias propias y clips de video

� ¿Qué proteger físicamente?

� Controles de seguridad física comúnmente utilizados

� Mientras tanto en México…

� Técnicas de evaluación de seguridad física (infiltración, ingeniería social cara-a-cara, etc.)

� Conceptos interesantes e inusuales

4

GuadalajaraCONINTRO VIDEO CLIP

Jason Bourne - Stealing the Blackbriar Files

5

GuadalajaraCON¿QuQuQuQué proteger fproteger fproteger fproteger físicamentesicamentesicamentesicamente????� Personas

� Terremotos

� Ingeniería Social

� Etc.

� Datos e información

� Documentos impresos (contratos, facturas, etc.)

� Post-its

� Etc.

� Infraestructura tecnológica

� Centro de datos

� Robots en plantas industriales

� Etc.6

GuadalajaraCON

Controles Controles Controles Controles comcomcomcomúnmente nmente nmente nmente utilizadosutilizadosutilizadosutilizados

7

GuadalajaraCON

8


GuadalajaraCON

9


GuadalajaraCONMientras tanto en MMientras tanto en MMientras tanto en MMientras tanto en Méxicoxicoxicoxico…� Acceso de equipo de cómputo a edificios

� Bitácora en papel con hora de entrada/salida?

� Revisión de guardias de seguridad?

� Acceso físico

� “Estampita” de visitante

� Acceso por estacionamientos?

� GENTE AMABLE (“Permítame ! Le abro la puerta”)

� Guardias con sobrepeso o somnolientos

� Seguridad de Infraestructura

� Contraseñas por default (CCTV, puertas de “Alta Seguridad”)

� Matriz de control de acceso deficiente

� Puertas de madera…

� Etc. Etc. Etc.10

GuadalajaraCON

11

BITCH PLEASE !!!

GuadalajaraCONVIDEO CLIP

Jason Bourne - Evacuation Plan

Cierta información puede ser utilizada en tu contra

12

GuadalajaraCON

� Infiltración e Ingeniería Social� Creación de gafetes falsos

� Banners y colores corporativos en el sitio Web� Nombres/No de empleados (Open Source

Intelligence)

� Mica de papelería = $10.00 pesos

� Impresión de hoja de “autorización”� Lo mismo de arriba, pero con firma de ‘CEO’ ;-D

� Seguridad personal al estar frente al guardia de seguridad (Ingeniería Social y DETERMINACIÓN)

13

TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion

GuadalajaraCON

� Infiltración e Ingeniería Social� Uno de 2011...

14


GuadalajaraCON

15

� Infiltración e Ingeniería Social� Otro de 2008…


GuadalajaraCON

� Piggybacking� Cuando una persona se

‘pega’ a otra para pasar ciertos puntos de seguridad, p.e. una puerta sin pasar una tarjeta de acceso

16


GuadalajaraCON

� Lock Picking� El arte de abrir manipular

los elementos mecánicos de una cerradura para realizar su apertura sin llave

17


GuadalajaraCON

18

IOActive Lock Picking session @ Mt. Baker [Enero 2013]


Lock Picking 101

Puertas y cajas fuertes también vulnerables

19


Vina F in Gringo Warrior

Lock Picking y diversión en DEFCON (Gringo Warrior Game)

20


Cyber Security. Evolved. (Deloitte UK)

Combinación de técnicas anteriores

21

GuadalajaraCON

� Dumpster Diving� Búsqueda de información en

basureros (Estados de cuenta, documentos corporativos, firmas, etc.)

22


GuadalajaraCON

� Shoulder Surfing� Ver la pantalla y/o teclas

escritas sin que la víctima se dé cuenta

23


GuadalajaraCON

� Shoulder Surfing� Guía de Íconos para Shoulder Surfing (hkm)http://www.hakim.ws/textos/iconos_del_taskbar.html

24


GuadalajaraCON

� {key,video} Loggers� Hardware ‘extra’ para capturar

teclas/video que la víctima escribe/ve.

25


GuadalajaraCON

� Contraseñas por default

� A veces se requiere del software del fabricante (Demo?) para hablar el mismo lenguaje (protocolo)

26



Spaceballs super password XD

Dispositivos de seguridad física también tienen contraseñas por default

27


Control de 48 cámaras de Seguridad de un edificio de México DF

DVRs y Cámaras CCTV también tiene contraseñas por default

28


Acceso a un Centro de Datos de “Alta Seguridad” en México DF utilizando el panel de administración (sin contraseña) del

dispositivo biométrico

La mayoría de dispositivos biométricos están bien diseñados y desarrollados… Pero son mal configurados/implementados.

29

GuadalajaraCON

� *Plugs� Computadoras con diversas funcionalidades

conectadas físicamente a la energía eléctrica de una organización (Edificio)

� USBs ‘maliciosas’

30


GuadalajaraCON

� Plantas Industriales� Separación ‘física’ de redes de datos e industriales

� Puertos USB (des)habilitados

31


GuadalajaraCON

32

GuadalajaraCON

33

Jan 15th, 2013 DoD Looking to ‘Jump the Gap’ Into Adversaries’ Closed Networks

Iranian President Mahmoud Ahmadinejad visits the Natanz

uranium enrichment facilities, where a “closed”

computer network was infected by malware introduced via a small flash drive.http://www.defensenews.com/article/20130115/C4ISR01/301150010/DoD-Looking-8216-Jump-Gap-8217-Into-Adversaries-8217-Closed-Networks

GuadalajaraCON

34

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� En algún lugar cerca de Toluca…� Puertas Antibombas

� Grandes montículos de arena alrededor (para qué?)

35

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� Evaluación Ninja

� Often shortened as urbex or UE. It may also be

referred to as Infiltration, Building Hacking,

draining (when exploring drains), urban rock climbing

� Exploration of man-made structures, usually

abandoned ruins or not usually seen components of the man-made environment

36

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration

37

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� En México…

38

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� http://www.infiltration.org

39

GuadalajaraCON

40

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Conceptos de uno de

los mejores libros que he leído

� Críticas sin fundamentos en 3..2..1

41

GuadalajaraCON

Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales

42

GuadalajaraCON


43

GuadalajaraCON


44

GuadalajaraCON


45

GuadalajaraCON


46

� Lo he visto muuuuchas veces en México…

GuadalajaraCON


47

GuadalajaraCONMoralejaMoralejaMoralejaMoraleja

48

… Ah! y usen los controles de seguridad adecuados…

GuadalajaraCON

AgradecimientosAgradecimientosAgradecimientosAgradecimientos

49

� GuadalajaraCON !

� B33rc0n (hkm, calderpwn, Carlos Ayala, Daemon, dex)

� Chr1x a.k.a s0n0fg0d !

� CRAc LightOS, beck, alt3kx, crypk3y, nahual, nediam, Rolman, Sandino, tr3w, fear, Ariel Sánchez, bucio, wengyep, moften, Xava, dr_fdisk^, etc…

GuadalajaraCON

50

−−−− GRACIAS GRACIAS GRACIAS GRACIAS −−−−

Alejandro Hernández H. CISSP, GPEN

http://twitter.com/nitr0usmx

http://chatsubo-labs.blogspot.com http://www.brainoverflow.org

Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]

Technology

Transcript of Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]